Blokování internetu, ale ne lokálních webů

[darebacik]

GW/FW pfSense
Mala LAN siet 192.168.1.0/24
DMZ z webmi 192.168.10.0/24

Potrebujem v LAN zablokovat internet na 1 PC, ale povolit mu pristup do DMZ, kde su weby. V DMZ mam napr. nextcloud, vlastne weby a wordpress (WP). Pravidlo som si vytvoril a funguje celkom dobre. Na danom PC nefunguje internet, ale funguju weby v DMZ okrem WP.

Myslim, ze WP nefunguju, preto, lebo ked sa brovser snazi nacitat web, tak vidim, ze sa nieco natahuje  z google (mozno nejake fonty, alebo ...).
Mam pravdu, alebo sa mylim ?
Je mozne to nejako vyriesit ?

[Reklama]

[McFly]

Stačí si tu stránku otevřít v prohlížeči a mrknout na zdrojový kód, co všechno si WP načítá externě. Minimálně https://fonts.googleapis.com tam určitě bude... a to pak stačí povolit. ;-) Ale přemýšlím, co v případě, že má hostname více IP adres, to je pak nutné povolit je všechny, což je nepraktické. Asi by bylo lepší, kdyby na tom pfSense stroji běžel Squid a ten počítač, který má být blokován, jej měl vyplněný v prohlížeči - acl pravidla by se dala jednoduše napsat v tom Squidu s tím, že přístup do internetu nebude mít to pc vůbec, jen přístup na proxy Squid. Tak bych to asi dělal já - v práci jsme mnoho let používali Squid, takže i nějaká ta pravidla jsem za ty roky vytvořil a fungovalo to skvěle. Nyní proxy Squid nepoužíváme, máme na to Check Point firewall, což je ale cenově v jiném vesmíru než je (zdarma) pfSense...

[Ziktofel]

Jdou ty weby upravit tak, aby nemely externi zavislosti (CDN apod)? Kdyz neco delam, preferuju, aby se zdroje (JS knihovny, atd) nacitaly ze stejneho serveru jako dany web

[darebacik]

Nechcem teraz kecat, ale ked som mal v minulosti vypadok internetu, tak lokalne weby mi fungovali vratane wp (mozno okrem recaptcha). Ten squid by som si musel najprv nastudovat, nemam skusenosti s proxy.
Zatial dik za info

[darebacik]

Vyriesil som to aspon z casti. V prehliadacoch vacsinou pouzivam plugin ublock origin, takze je potrebne zakazat vzdialene pisma a javaskript. Pismo bude trocha ine, ale z casti to bude fungovat OK.

[Reklama]

[Screemy]

Nebo si ty odkazovane linky z webu hod do aliasu a ten povol dane IP jako jedinou moznost na nacitani z webu ... tim web pojede 100% a nikam jinam te to nepusti.